Windows Forensics : Guide Expert en Analyse Sécurité

La forensique Windows représente l'épine dorsale de la majorité des investigations numériques en entreprise. Avec plus de 70% des parcs informatiques professionnels fonctionnant sous Windows, maîtriser ce domaine est simplement non-négociable pour tout analyste DFIR sérieux. Ce windows forensics guide expert analyse sécurité est conçu pour les professionnels qui veulent aller au-delà des tutoriels de surface et comprendre réellement ce qui se passe sous le capot d'un système compromis. Nous allons explorer ensemble les artefacts que Windows génère à chaque seconde — Event Logs EVTX, fichiers Prefetch, hives de registre, $MFT NTFS — et comment les corréler pour reconstituer avec précision la chronologie d'une attaque. Que vous investiguer une compromission par ransomware, un mouvement latéral ou une exfiltration de données, les techniques et outils présentés ici vous permettront de transformer des traces numériques éparpillées en une narration forensique solide et défendable devant un tribunal si nécessaire. La forensique Windows n'est pas une science exacte, c'est un art qui demande rigueur, méthode et une connaissance intime de ce que Microsoft stocke — souvent involontairement — sur chaque action utilisateur et système.

Les artefacts Windows critiques que tout investigateur doit maîtriser

Windows est une machine à produire des artefacts forensiques. Chaque action — ouverture de fichier, connexion réseau, exécution de programme — laisse des traces dans au moins trois endroits différents. Le problème pour l'attaquant, c'est justement cette redondance : supprimer les logs ne suffit pas quand le $MFT, le Prefetch et la hive de registre racontent la même histoire.

Event Logs EVTX

Les Event Logs Windows sont stockés dans C:\Windows\System32\winevt\Logs\. Les fichiers au format EVTX (Extended Event Log XML) remplacent les anciens .EVT depuis Vista. Les journaux critiques pour une investigation sont :

• Security.evtx — authentifications, créations de compte, changements de politique
• System.evtx — démarrages/arrêts système, installations de services, erreurs pilotes
• Application.evtx — événements applicatifs, crashs, installations
• Microsoft-Windows-PowerShell/Operational.evtx — exécutions PowerShell (Event ID 4103, 4104)
• Microsoft-Windows-Sysmon/Operational.evtx — si Sysmon est déployé, c'est la mine d'or
• Microsoft-Windows-TaskScheduler/Operational.evtx — tâches planifiées créées/exécutées

Prefetch : l'empreinte de chaque exécution

Le dossier C:\Windows\Prefetch\ contient des fichiers .pf pour chaque programme exécuté. Chaque fichier Prefetch stocke : le nom de l'exécutable, les 8 dernières dates d'exécution (Windows 8+), les fichiers et répertoires accédés lors de l'exécution, et le nombre total d'exécutions. Un attaquant qui supprime son malware laisse quand même un fichier Prefetch — c'est ce genre de négligence qui brise les investigations.

ShimCache (AppCompatCache)

Le ShimCache (aussi appelé AppCompatCache) est stocké dans la clé de registre HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\AppCompatCache. Il enregistre les chemins d'exécutables qui ont été présents sur le système, même s'ils n'ont pas forcément été exécutés (selon la version de Windows). Sur Windows 10/11, le ShimCache n'indique plus l'exécution certaine mais confirme la présence d'un binaire. Voir notre guide détaillé sur AmCache et ShimCache en forensique Windows.

AmCache.hve

L'AmCache (C:\Windows\AppCompat\Programs\Amcache.hve) est une hive de registre qui stocke des informations détaillées sur les programmes installés et exécutés. Contrairement au ShimCache, l'AmCache contient le hash SHA1 de l'exécutable — ce qui permet de le comparer directement à des bases de données de malwares. C'est souvent l'artefact qui permet de confirmer qu'un binaire malveillant spécifique a tournité sur le système.

NTFS $MFT et $UsnJrnl

Le Master File Table ($MFT) est le cœur du système de fichiers NTFS. Chaque fichier et répertoire du volume a une entrée dans la MFT, qui contient les quatre timestamps NTFS : $STANDARD_INFORMATION (SI) et $FILE_NAME (FN). Ces deux séries de timestamps sont rarement synchronisées lors d'une manipulation forensique antiforensique, ce qui permet de détecter les tentatives de timestomping.

Le $UsnJrnl (Journal de changement USN) documente toutes les modifications de fichiers sur le volume — créations, suppressions, renommages. C'est particulièrement utile pour retrouver des fichiers supprimés : si le fichier n'existe plus dans la MFT, son entrée USN peut encore révéler qu'il a existé.

LNK files et Jumplists

Les fichiers de raccourci (.lnk) dans AppData\Roaming\Microsoft\Windows\Recent\ et les Jumplists dans AppData\Roaming\Microsoft\Windows\Recent\AutomaticDestinations\ révèlent les fichiers récemment ouverts — même si les fichiers originaux ont été supprimés. Le LNK contient le chemin original, les timestamps d'accès, et parfois des informations sur le volume source (numéro de série, informations réseau).

Event IDs clés pour une investigation Windows

Sur les investigations que je mène, j'ai développé un réflexe : avant même de lancer des outils automatisés, je commence par filtrer manuellement sur une dizaine d'Event IDs précis. Ces identifiants couvrent 80% des scénarios d'attaque courants.

• 4624 — Ouverture de session réussie. Le champ Logon Type est critique : 2=interactif, 3=réseau, 10=remote interactive (RDP), 4=batch (service), 7=déverrouillage. Un Logon Type 3 depuis une IP inhabituelle à 3h du matin mérite toute votre attention.
• 4625 — Echec d'ouverture de session. Analysez le sous-status code : 0xC000006A = mauvais mot de passe (brute force probable si répétitif), 0xC0000064 = nom d'utilisateur inexistant (énumération d'utilisateurs).
• 4634 / 4647 — Fermeture de session / déconnexion initiée par l'utilisateur. Permet de calculer la durée des sessions.
• 4740 — Compte verrouillé. Indique une attaque par force brute active ou une politique de mot de passe déclenchée.
• 4688 — Création d'un nouveau processus. Si l'audit est configuré pour inclure les arguments de ligne de commande, c'est extrêmement précieux pour détecter l'exécution de commandes malveillantes (PowerShell encodé, etc.).
• 4698 — Création d'une tâche planifiée. Vecteur de persistance classique — à corréler avec le nom de la tâche et le chemin de l'exécutable.
• 4720 / 4726 — Création / suppression de compte utilisateur. Un nouveau compte créé pendant un incident est un red flag absolu.
• 7045 — Installation d'un nouveau service. Technique de persistance avancée. Le nom du service et le chemin du binaire sont les premiers éléments à analyser.
• 4776 — Validation d'identifiants NTLM. Révèle les tentatives d'authentification NTLM, utile pour détecter Pass-the-Hash.
• 1102 — Effacement du journal Security.evtx par un administrateur. Si vous voyez cet Event ID, quelqu'un a tenté de couvrir ses traces.

La suite Eric Zimmerman : l'arsenal indispensable du forensicien Windows

Je recommande systématiquement la suite Eric Zimmerman comme point de départ de toute investigation Windows. Ces outils, disponibles gratuitement sur ericzimmermantools.com, parsent les artefacts Windows avec une précision et une rapidité que les alternatives commerciales peinent à égaler.

EvtxECmd — Parser les Event Logs

EvtxECmd transforme les fichiers EVTX binaires en CSV ou JSON lisibles. La puissance de cet outil vient de ses Maps — des définitions XML qui précisent quels champs extraire pour chaque Event ID.

# Parser tous les EVTX d'un répertoire vers CSV
EvtxECmd.exe -d "C:\Windows\System32\winevt\Logs\" --csv C:\output\ --csvf evtx_results.csv

# Parser un fichier EVTX spécifique avec filtre sur Event ID 4624 et 4625
EvtxECmd.exe -f "C:\Evidence\Security.evtx" --csv C:\output\ --inc 4624,4625

# Inclure les Maps pour enrichissement des données
EvtxECmd.exe -d "C:\Evidence\EVTX\" --csv C:\output\ --maps "C:\EZ\Maps\"

# Charger le résultat dans Timeline Explorer pour corrélation
# (ouvrir Timeline Explorer.exe → File → Load CSV)

MFTECmd — Analyser la Master File Table

# Parser le $MFT d'une image forensique
MFTECmd.exe -f "D:\Evidence\$MFT" --csv C:\output\ --csvf mft_results.csv

# Parser le $UsnJrnl (journal de changements NTFS)
MFTECmd.exe -f "D:\Evidence\$J" --csv C:\output\ --csvf usnjrnl_results.csv

# Parser les deux simultanément pour vue complète
MFTECmd.exe -f "D:\Evidence\$MFT" -j "D:\Evidence\$J" --csv C:\output\

RECmd — Analyser les hives de registre

# Parser les hives de registre avec batch processing
RECmd.exe -d "D:\Evidence\Registry\" --bn BatchExamples\Kroll_Batch.reb --csv C:\output\

# Chercher une valeur spécifique dans toutes les hives
RECmd.exe -d "D:\Evidence\" --kn "SOFTWARE\Microsoft\Windows\CurrentVersion\Run" --csv C:\output\

# Parser NTUSER.DAT d'un utilisateur spécifique
RECmd.exe -f "D:\Evidence\Users\admin\NTUSER.DAT" --csv C:\output\ --csvf admin_ntuser.csv

PECmd — Analyser les fichiers Prefetch

# Parser tous les fichiers Prefetch
PECmd.exe -d "C:\Windows\Prefetch\" --csv C:\output\ --csvf prefetch_results.csv

# Parser le Prefetch d'une image (répertoire extrait)
PECmd.exe -d "D:\Evidence\Prefetch\" --csv C:\output\ --csvf prefetch_results.csv

# Timeline Explorer agrège ensuite tous ces CSV pour une vue unifiée

Acquisition forensique avec FTK Imager

Avant toute analyse, l'acquisition forensique doit être réalisée dans les règles de l'art pour garantir la recevabilité des preuves. FTK Imager (AccessData/Exterro) reste la référence pour créer des images disque forensiques.

La procédure d'acquisition doit toujours commencer par calculer le hash de vérification du support original avant de toucher quoi que ce soit. FTK Imager génère automatiquement les hashs MD5 et SHA1 de l'image créée, que vous comparerez à l'original pour prouver l'intégrité de la copie — c'est ce qu'on appelle la chain of custody, la chaîne de conservation des preuves.

• Format E01 (EnCase Evidence File) : format standard avec compression et vérification intégrée
• Format RAW/DD : image bit-à-bit sans compression, universellement compatible mais volumineux
• Format AFF4 : standard ouvert moderne avec capacité de stockage d'image partielle

Pour les systèmes live où un arrêt est impossible, FTK Imager permet également d'acquérir la mémoire vive (File → Capture Memory) et les fichiers système protégés en cours d'utilisation via Obtain Protected Files — ce qui vous donne accès aux hives de registre actives, un artefact que vous ne pouvez pas copier normalement sous Windows.

Comment analyser les Event Logs Windows rapidement ?

La question que j'entends le plus souvent en formation : comment traiter des gigaoctets d'Event Logs sans y passer trois jours ? La réponse tient en deux mots : EvtxECmd + Timeline Explorer.

La méthode que j'applique systématiquement :

1. Parser tous les EVTX avec EvtxECmd vers un seul gros CSV (peut prendre 10-15 minutes pour un système chargé)
2. Ouvrir le CSV dans Timeline Explorer — l'interface permet de filtrer par Event ID, date, machine, utilisateur simultanément
3. Créer des filtres sauvegardés pour les Event IDs critiques (4624, 4625, 4688, 4698, 7045)
4. Appliquer une fenêtre temporelle autour de l'incident présumé (±2 heures d'abord, élargie si nécessaire)
5. Exporter les résultats filtrés vers un second CSV pour le rapport

Pour les cas d'urgence, PowerShell peut filtrer directement sur un système live (mais attention, l'accès au journal lui-même génère des traces) :

# Requêter les Event Logs directement en PowerShell
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624,4625; StartTime=(Get-Date).AddDays(-7)} |
    Select-Object TimeCreated, Id, Message |
    Export-Csv -Path C:\temp\logon_events.csv -NoTypeInformation

# Chercher les créations de processus avec arguments
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4688} |
    Where-Object {$_.Message -match 'powershell|cmd|wscript|cscript'} |
    Select-Object TimeCreated, @{N='Process';E={$_.Properties[5].Value}} |
    Sort-Object TimeCreated

Quels artefacts révèlent l'exécution d'un malware ?

Pour confirmer qu'un exécutable malveillant a bien tourné sur un système, je croise systématiquement trois artefacts. Un seul ne suffit jamais en forensique — c'est la convergence des preuves qui rend une conclusion défendable.

Prefetch : confirmation directe d'exécution

Le fichier Prefetch MALWARE.EXE-XXXXXXXX.pf est la preuve la plus directe d'une exécution. Il contient les 8 dernières dates d'exécution sur Windows 8+ — précieux pour démontrer la persistance d'une menace dans le temps. PECmd parse ces fichiers et révèle également toutes les DLLs chargées lors de l'exécution, ce qui peut aider à identifier le comportement du malware.

AppCompatCache (ShimCache) : présence sur le système

Le ShimCache confirme que l'exécutable a été vu par Windows. Sur Windows 10/11, la distinction entre "vu" et "exécuté" n'est pas toujours nette, mais combiné avec le Prefetch, c'est une preuve supplémentaire solide. L'ordre des entrées dans le ShimCache (stockées en ordre LIFO) peut indiquer quelle application a été vue en dernier avant la persistance dans le registre.

AmCache : hash SHA1 de l'exécutable

L'AmCache est souvent l'artefact décisif : il stocke le hash SHA1 du fichier exécuté. Même si le malware a été supprimé et que son nom a changé, le hash reste. En le soumettant à VirusTotal (ou en le comparant à une liste d'indicateurs de compromission), vous confirmez la nature malveillante du binaire sans avoir à l'analyser directement.

Pour une analyse approfondie de ces deux artefacts, consultez notre guide dédié : AmCache et ShimCache : Guide Pratique.

Reconstruction de la timeline : corréler tous les artefacts

La reconstruction temporelle est l'objectif final de toute investigation forensique Windows. L'enjeu : créer une super-timeline qui regroupe tous les artefacts sur un axe temporel unique, avec une résolution à la seconde ou mieux.

La méthode que je préconise : parser chaque artefact individuellement en CSV, puis charger tous les CSV dans Timeline Explorer. L'outil agrège automatiquement toutes les sources sur un axe temporel unique. Vous pouvez ensuite filtrer, annoter et exporter directement vers un rapport d'investigation.

Pour approfondir la méthodologie NTFS, consultez notre article sur la forensique NTFS et méthodologie sécurité.

Artefacts de persistance malware : les trois vecteurs à vérifier systématiquement

La persistance est le graal de l'attaquant : maintenir un accès même après redémarrage. Windows offre des dizaines de mécanismes de persistance, mais en pratique, 90% des malwares utilisent l'un de ces trois vecteurs.

Clés de démarrage du registre

Les clés Run et RunOnce sont les plus classiques :

• HKCU\Software\Microsoft\Windows\CurrentVersion\Run — s'exécute à l'ouverture de session utilisateur
• HKLM\Software\Microsoft\Windows\CurrentVersion\Run — s'exécute pour tous les utilisateurs
• HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon — s'exécute pendant le processus de logon (Userinit, Shell)
• HKLM\System\CurrentControlSet\Control\Session Manager\BootExecute — s'exécute avant le chargement de Windows

Services Windows

Installer un service (Event ID 7045) donne une persistance système élégante car les services démarrent avant toute ouverture de session. Les services malveillants utilisent souvent des noms qui imitent des services légitimes Windows — Windows Update Helper, Microsoft Security Sync. Cherchez les services dont le binaire ne se trouve pas dans C:\Windows\System32\ ou C:\Windows\SysWOW64\.

Tâches planifiées

Les tâches planifiées (C:\Windows\System32\Tasks\ et C:\Windows\SysWOW64\Tasks\) offrent une flexibilité maximale à l'attaquant — déclenchement à heure fixe, au démarrage, à l'ouverture de session, ou même sur événement système. L'Event ID 4698 log la création d'une tâche dans Security.evtx si l'audit est activé. Le fichier XML de la tâche révèle le programme exécuté, les arguments, le compte utilisé et les conditions de déclenchement.

Pour les techniques avancées d'anti-forensique et comment les contrer, voir notre article sur les méthodes d'évasion anti-forensics.

Autopsy : analyse forensique avec interface graphique

Pour les investigations complexes nécessitant une interface graphique, Autopsy (basé sur The Sleuth Kit) est la référence open source. Autopsy ingère une image forensique et analyse automatiquement plusieurs dizaines de catégories d'artefacts via ses modules :

• Recent Activity — historique navigateurs, fichiers récents, cookies
• Hash Lookup — vérification MD5/SHA1 contre NSRL (base de fichiers connus)
• Keyword Search — recherche de termes dans tous les fichiers et métadonnées
• Email Parser — analyse fichiers PST/OST/MBOX
• Registry Analysis — parse automatique des hives
• Timeline Analysis — vue temporelle intégrée

La vue Timeline d'Autopsy est particulièrement puissante pour les cas de vol de données ou d'espionnage industriel, où l'objectif est de reconstituer précisément quelles données ont été accédées et exfiltrées. Pour des investigations plus complexes impliquant l'analyse mémoire, combinez avec Volatility — voir notre guide Volatility 3 pour la forensique mémoire.

La forensique Windows dans le contexte des investigations modernes

Le paysage de la forensique Windows évolue rapidement. Windows 11, avec ses nouvelles fonctionnalités de sécurité (Secure Boot obligatoire, TPM 2.0, VBS/HVCI), génère de nouveaux artefacts tout en rendant certaines techniques d'acquisition plus complexes. Le chiffrement BitLocker est désormais activé par défaut sur de nombreuses configurations — ce qui signifie qu'une acquisition à froid (cold imaging) nécessite la clé de récupération BitLocker avant de pouvoir analyser le contenu.

D'autre part, les attaquants modernes connaissent parfaitement les artefacts forensiques Windows et développent des techniques sophistiquées pour les effacer ou les manipuler — c'est ce qu'on appelle l'anti-forensique. Le timestomping (modification des timestamps NTFS) est la technique la plus répandue, mais elle est facilement détectable en comparant les timestamps SI et FN dans le $MFT. Pour une couverture complète de ces techniques, consultez notre analyse de l'évasion et l'anti-forensique.

La référence méthodologique reste le NIST SP 800-86 "Guide to Integrating Forensic Techniques into Incident Response", qui définit le cadre général de toute investigation forensique rigoureuse. Pour les techniques d'attaque que vous cherchez à retracer, le framework MITRE ATT&CK est votre référence incontournable — chaque tactique et technique est documentée avec les artefacts forensiques correspondants.

FAQ forensique Windows

Quelle est la différence entre Shimcache et AmCache en forensique ?

Le ShimCache (AppCompatCache) enregistre les chemins d'exécutables pour la compatibilité applicative — sur Windows 10/11, il confirme la présence d'un binaire mais pas nécessairement son exécution. L'AmCache, en revanche, documente l'exécution réelle avec le hash SHA1 de l'exécutable, son éditeur, sa version et le timestamp d'installation. En pratique : utilisez le ShimCache pour établir qu'un programme était présent, l'AmCache pour confirmer son exécution et identifier formellement le binaire via son hash.

Comment acquérir un dump mémoire sans endommager les preuves ?

L'acquisition mémoire doit être réalisée en premier sur un système live, avant toute autre action — chaque commande que vous tapez modifie la RAM. Utilisez WinPmem ou DumpIt en priorité car ils ont un impact minimal sur la mémoire. Évitez Task Manager → Create Dump File qui génère un dump applicatif partiel, pas un dump système complet. Le fichier résultant doit immédiatement être hashé (MD5+SHA1) pour la chain of custody. Pour l'analyse du dump, voir notre guide sur la forensique mémoire et détection.

Quels Event IDs sont les plus critiques dans une investigation ?

Ma short list pour 90% des investigations : 4624/4625 (authentifications), 4688 (création de processus, requiert audit activé + inclusion des arguments), 4698 (scheduled task créé), 7045 (service installé), 4720/4726 (création/suppression compte), 1102 (journaux effacés). Si Sysmon est déployé, Event IDs 1 (création processus), 3 (connexion réseau) et 11 (création fichier) complètent parfaitement les Event Logs natifs.

Comment détecter une persistance via scheduled task sur Windows ?

Trois approches complémentaires : (1) chercher l'Event ID 4698 dans Security.evtx avec EvtxECmd, (2) parser le répertoire C:\Windows\System32\Tasks\ avec EvtxECmd ou directement lire les fichiers XML des tâches, (3) utiliser la commande schtasks /query /fo LIST /v sur un système live pour lister toutes les tâches actives. Les tâches suspectes se distinguent par : un nom sans éditeur connu, un exécutable hors des chemins système standards, un déclencheur au démarrage ou à intervalle régulier, et un compte d'exécution SYSTEM ou un compte de service.